Timestamping Server - Release Version 1.3.0

08.11.2022

Das letzte Release meines Timestamping Server liegt zugegebenermaßen bereits einige Zeit zurück. Daher wurde es Zeit, wieder einige nützliche Features hinzuzufügen

rfc3161timestampingserver Logo Das Projekt wurde um die folgenden Aspekte erweitert:

Bisher musste man zure Validierung der Zertifikatskette die Zertifikate der Kette als gesonderte Datei vom Server herunterladen. Das spart zwar Bandbreite, ist aber unter gewissen Szenarien unschön bzw. ungeeignet.

Das erste Szenario, in dem dieses Verhalten unschön ist, umfasst die Benutzung diverser Tools, die nicht darauf vorbereitet sind, die Zertifikatskette gesondert herunterzuladen und sich nach der Erzeugung des Timestamps dann beschweren, dass der Timestamp nicht validiert wereen kann. Javas JarSigner ist dafür ein prominentes Beispiel.

Ein weiteres Szenario - das mit diesem Release aber nicht abschließend addressiert wurde - umfasst das Erstellen von kryptographisch abgesicherten Zeitstempekn zur Archivierung. Dabei ist es wichtig, alle zur Validierung des Zeitstempels benötigten Informationen im Zeitstempel selbst zu integrieren. Das umfasst zum einen alle Zertifikate der Kette zum Zeitpunkt der Erstellung des Zeitstempels und zum anderen alle für diese Zertifikate zu diesem Zeitpunkt verfügbaren CRLs (bzw. OCSP-Responses).

Ich habe mich dafür entschieden, die Software so behutsam wie möglich zu erweitern: wird das Docker-Image der Version 1.3.0 gebaut und gestartet, ändert sich am Verhalten der Lösung zunächst einmal nichts. Erst wenn man die neue Konfigurationsoption namens de.elbosso.tools.rfc3161timestampingserver.App.includeFullChain auf den Wert true setzt (durch Setzen einer entsprechenden Umgebungsvariablen), ändert sich das Verhalten dahingehend, dass nun mit jedem Request, der die Übertragung des Signer-Zertifikats verlangt dieses Signer-Zertifikat einschließlich aller Zertifikate in der zugehörigen Chain in der Response eingebettet werden.

Derzeit ist diese Konfiguration nur per Server verfügbar. Es existieren erste Ideen, mehrere Endpunkte anzubieten, über die Clients steuern können, ob die Zertifikaste der Kette in der Response enthalten sein sollen. eine entsprechende Diskussion auf Github ist bereits angelegt und freigeschaltet.

Wer noch abenteuerlustiger ist und die aktuelle SNAPSHOT-Version ausprobieren möchte: In dieser existiert bereits eine neue Option namens de.elbosso.tools.rfc3161timestampingserver.App.includeCRLs, die - falls der Wert auf true gesetzt ist in die Response sämtliche CRLs der in der Response enthaltenen Zertifikate einbettet. Das ist der noch benötigte große Schritt auf dem Weg zu Archivzeitstempeln.

Artikel, die hierher verlinken

Git als beweisfestes Langzeitarchiv(?)

11.01.2023

Ich habe hier verschiedentlich über das Thema Langzeitarchivierung berichtet - unter anderem habe ich meinen Timestamping-Server nach RFC3161 so erweitert, dass er entsprechende Archivzeitstempel erstellen kann. Und so stolperte ich zwangsweise über Parallelen zwischen Git und Archivsystemen

Struktur von PKIs re: Archivzeitstempel

12.11.2022

Hier nochmal eine Beleuchtung der Organisation einer Public Key Infrastructure (PKI) von einem (von mir) bisher nicht betrachteten Blickwinkel

Alle Artikel rss Wochenübersicht Monatsübersicht Github Repositories Gitlab Repositories Mastodon Über mich home xmpp


Vor 5 Jahren hier im Blog

  • AtomicInteger vs. Integer

    24.03.2019

    Ich habe am Wochenende wieder einmal mit Java-Benchmarks experimentiert

    Weiterlesen...

Neueste Artikel

  • Konstruktive Geometrie mit dem Computer

    Ich habe in einem vorhergehenden Artikel beschrieben, dass ich eine weitere neue Graphik-Primitive erstellt habe. Dabei musste ich mir meine verschütteten Trigonometrie-Kenntnisse wieder vor Augen führen - mit Bleistift und Papier. Das müsste doch auch anders gehen dachte ich mir und begann...

    Weiterlesen...
  • GitHub-Projekte

    Mal abgesehen von den anderen Links, die ich in unregelmäßigen Intervallen hier poste kommt heute ein Schwung (aus meiner Sicht) interessanter/skurriler Projekte auf GitHub:

    Weiterlesen...
  • Mehrere Datenbanken und Postgis-Erweiterung in Docker

    Ich hatte ja schon beschrieben, dass ich mich in diesem Jahr wieder intensiver um mein Geoinformationssystem EBMap4D kümmern möchte. Dazu habe ich jetzt einige infrastrukturelle Vorbereitungen getroffen...

    Weiterlesen...

Manche nennen es Blog, manche Web-Seite - ich schreibe hier hin und wieder über meine Erlebnisse, Rückschläge und Erleuchtungen bei meinen Hobbies.

Wer daran teilhaben und eventuell sogar davon profitieren möchte, muß damit leben, daß ich hin und wieder kleine Ausflüge in Bereiche mache, die nichts mit IT, Administration oder Softwareentwicklung zu tun haben.

Ich wünsche allen Lesern viel Spaß und hin und wieder einen kleinen AHA!-Effekt...

PS: Meine öffentlichen GitHub-Repositories findet man hier - meine öffentlichen GitLab-Repositories finden sich dagegen hier.